Présentation de SAML

Le produit appelé OneSpan Sign fournit une plate-forme complète de signature électronique pour le Web, y compris la préparation, la distribution, la révision, la signature et le téléchargement de documents.

SAML (Security Assertion Markup Language) est un format d’échange de données d’authentification et d’autorisation entre un fournisseur d’identité et un fournisseur de services.

Pour faciliter l’intégration avec des applications tierces qui fournissent l’authentification unique Web, OneSpan Sign prend en charge le protocole SAML 2.0 . En effectuant les procédures énumérées ci-dessous, vous pouvez :

• Permettez aux « expéditeurs » (membres d’un compte OneSpan Sign) de se connecter à OneSpan Sign à l’aide de l’authentification unique via des jetons SAML 2.0.

• Permettez aux « destinataires » (qui ne sont pas membres d’un compte OneSpan Sign) d’accéder à l’expérience du signataire à l’aide de l’authentification unique via des jetons SAML 2.0.

L’authentification unique du signataire n’est pas prise en charge dans les environnements FedRAMP.

Les connexions SAML à OneSpan Sign permettent :

• Une meilleure expérience utilisateur, puisque les utilisateurs sont connectés à OneSpan Sign de manière transparente.

• Pas besoin que l’utilisateur se souvienne d’un mot de passe pour se connecter

• Moins de temps passé à ressaisir un mot de passe

• La possibilité de créer automatiquement un nouvel expéditeur pour le compte OneSpan Sign lors de la toute première connexion d’un utilisateur à OneSpan Sign. Notez que : (1) des expéditeurs peuvent être créés même si plusieurs comptes ont le même fournisseur d’identité ; (2) un nouvel expéditeur peut être désigné soit comme un gestionnaire, soit comme un membre.

• Réduction des coûts informatiques (grâce à des comptes et des identifiants gérés de manière centralisée)

• « Destinataires » pour accéder à l’Expérience du signataire de manière plus sécurisée

Quelle que soit la configuration de leur compte pour l’authentification unique, group signers doivent toujours se connecter à la partie expéditeur de la nouvelle expérience utilisateur avant de signer.

L’activation d’une connexion SAML à OneSpan Sign implique généralement l’exécution successive des procédures suivantes :

1. Getting Started

2. Configuration de votre fournisseur d’identité

3. Configuration de SAML sur votre compte OneSpan Sign

4. Test de la fonctionnalité SSO

La liaison de protocole pour SAML 2.0 est HTTP-Redirect et HTTP-POST.

Les sections suivantes contiennent des informations pertinentes pour commencer à utiliser SAML sur OneSpan Sign :

• Configuring One or More Accounts for Senders

• Optional Account Settings for Senders

• Configuring SSO for Recipients

Configuration d’un ou plusieurs comptes pour les expéditeurs

Cette section n’est pertinente que si vous souhaitez configurer l’authentification unique pour les « expéditeurs » (membres d’un compte OneSpan Sign).

L’un des sujets suivants s’applique à votre situation :

• Configuring a Single Account

• Configuring Multiple Accounts

Configuration d’un compte unique

OneSpan Sign dispose d’un paramètre pour les comptes uniques, appelé Sender Auto Provisioning. Le provisionnement automatique est activé pour un compte lorsque le paramètre allowSenderCreation dans le fichier saml.config a la valeur définie true. Cette fonctionnalité est activée par défaut.

Si cette fonction est activée, la première fois qu’un expéditeur tente de se connecter via l’authentification unique, OneSpan Sign créera un compte pour lui et lui donnera accès à l’interface utilisateur de OneSpan Sign pour les expéditeurs.

Si cette fonction est désactivée, une organisation doit ajouter manuellement un expéditeur à un compte OneSpan Sign avant de pouvoir se connecter via l’authentification unique.

SSO et rôles et autorisations

Si le provisionnement automatique de l’expéditeur a été désactivé, un expéditeur sera automatiquement activé lors de la première connexion (en supposant que son état d’activation est En attente et non Verrouillé). Si Roles and Permissions ont été activées, cette fonctionnalité fonctionne dans les scénarios suivants :

• Utilisateur en attente sans rôle

• Utilisateur en attente avec rôle

• Utilisateur actif sans rôle

• Utilisateur actif avec rôle

Configuration de plusieurs comptes

Optionnellement, plusieurs comptes OneSpan Sign peuvent être configurés pour utiliser le même fournisseur d’identité pour l’authentification unique.

Paramètres de compte facultatifs pour les expéditeurs

Cette section n’est pertinente que si vous souhaitez configurer l’authentification unique pour les « expéditeurs » (membres d’un compte OneSpan Sign).

Les paramètres facultatifs suivants liés à l’authentification unique peuvent être configurés au niveau du compte :

• Force SSO Login

• Custom Redirection URLs

• Sender Email Templates

Forcer la connexion SSO

Pour forcer les expéditeurs d’un compte à se connecter à OneSpan Sign via l’authentification unique, vous devez activer la connexion à l’authentification unique au niveau du compte. Pour ce faire, veuillez contacter notre équipe d’assistance.

Ce paramètre empêchera les utilisateurs d’accéder à OneSpan Sign via sa page de connexion .

URL de redirection personnalisées

En réponse à certains événements, OneSpan Sign redirige par défaut les utilisateurs vers la page de connexion principale de OneSpan Sign.

Cela peut être indésirable lors de l’utilisation de l’authentification unique, car un utilisateur typique n’aura pas de nom d’utilisateur ou de mot de passe pour cette page (à la place, il utilise une URL de connexion SSO).

La meilleure pratique consiste à remplacer ces URL de redirection. Ainsi, vous devez fournir les URL de votre choix pour les éléments suivants :

Modèles d’e-mails d’expéditeur

La fonction SAML de OneSpan Sign comporte des modèles de courriels qui peuvent être utilisés pour envoyer des notifications par courriel aux expéditeurs dans les conditions suivantes :

• Mot de passe oublié

• Se désengager

• Décliner

• Invitation au compte

• Expirer

• Rebondi

• Plainte

• Hors du bureau

• Réaffecter l’expéditeur

• Prêt à compléter

• Verrouiller le signataire

• Verrouillage de la connexion

• Défaillance du KBA